資産の変更の概要

この記事では、在庫資産を変更する方法について説明します。 資産の状態を変更したり、外部 ID を割り当てたり、ラベルを適用してコンテキストを提供したり、インベントリ データを使用したりできます。 また、CVEs やその他の観測値を適用不可としてマークして、報告されたカウントから削除することもできます。 検出された方法に基づいて、資産をインベントリから一括で削除することもできます。 たとえば、ユーザーは検出グループからシードを削除し、このシードへの接続を介して検出されたすべての資産を削除できます。 この記事では、Defender EASMで使用できるすべての変更オプションについて説明し、タスク マネージャーで資産を更新し、更新プログラムを追跡する方法について説明します。

アセットにラベルを付ける

ラベルは、攻撃対象領域を整理し、カスタマイズ可能な方法でビジネス コンテキストを適用するのに役立ちます。 アセットのサブセットに任意のテキスト ラベルを適用してアセットをグループ化し、インベントリを活用できます。 お客様は、一般的に次の資産を分類します。

• 最近、合併または買収により、貴組織の傘下に入った。
• コンプライアンスの監視が必要です。
• 組織内の特定の事業部門が所有しています。
• 軽減策を必要とする特定の脆弱性の影響を受ける。
• organizationが所有する特定のブランドに関連します。
• 特定の時間内にインベントリに追加されました。

ラベルはフリーフォーム テキスト フィールドであるため、organizationに適用されるすべてのユース ケースのラベルを作成できます。

資産の状態を変更する

また、ユーザーは資産の状態を変更することもできます。 状態を使用すると、組織内での役割に基づいてインベントリを分類できます。 ユーザーは次の状態を切り替えることができます。

• 承認済みインベントリ: 所有している攻撃面の一部。直接責任を負うアイテム。
• 依存性:第三者が所有しているが、所有資産の運用を直接支えるため攻撃対象の一部となるインフラ。 たとえば、WEB コンテンツをホストする IT プロバイダーに依存する場合があります。 ドメイン、ホスト名、ページは 承認インベントリの一部ですが、ホストを動かしているIPアドレスは 依存関係として扱うと良いでしょう。
• モニターのみ:あなたの攻撃対象面に関連するが、組織が直接管理していない、また技術的な依存関係でない資産。 たとえば、関連企業に属する独立したフランチャイズまたは資産は、レポート目的でグループを分離するために、承認済み在庫ではなくモニター専用としてラベル付けされる場合があります。
• 候補: organizationの既知のシード資産と何らかの関係があるが、すぐに承認済みインベントリとしてラベル付けするのに十分な強い接続を持たない資産。 これらの候補資産は、所有権を決定するために手動で確認する必要があります。
• 調査が必要: 候補 の状態に似た状態ですが、この値は検証に手動で調査する必要がある資産に適用されます。 この状態は、資産間の検出された接続の強さを評価する当社社内で生成された信頼度スコアに基づいて決定されます。 これは、そのインフラストラクチャが組織と正確にどのような関係にあるかを示すというよりも、むしろ、この資産がどのように分類されるべきかを判断するために追加レビューが必要であるとしてフラグ付けされていることを示しています。

外部 IDを適用する

ユーザーは、外部 ID を資産に適用することもできます。 このアクションは、資産の追跡、修復アクティビティ、または所有権の監視に複数のソリューションを使用する場合に役立ちます。Defender EASM内の外部 ID を表示すると、この異種資産情報を調整するのに役立ちます。 外部 ID値は数値または英数字で指定でき、テキスト形式で入力する必要があります。 外部 ID は、[資産の詳細] セクションにも表示されます。

観測値を適用不可としてマークする

多くのDefender EASM ダッシュボードには CVE データが含まれています。攻撃対象領域を強化する Web コンポーネント インフラストラクチャに基づいて潜在的な脆弱性に注意を向ける必要があります。 たとえば、CVE は攻撃 Surface の概要ダッシュボードに表示され、潜在的な重大度によって分類されます。 これらの CVEs を調査すると、一部がorganizationに関連しないと判断される場合があります。 これは、影響を受けていないバージョンの Web コンポーネントを実行しているか、または組織でその特定の脆弱性からユーザーを保護するための別の技術的な対策が講じられているためである可能性があります。

CVE 関連のグラフのドリルダウン ビューで、[ CSV レポートのダウンロード ] ボタンの横に、観測値を適用不可として設定できるようになりました。 この値を選択すると、その観測値に関連付けられているすべての資産のインベントリ リストに移動し、このページからすべての観測値を適用不可としてマークするように選択できます。 実際の変更は、在庫リスト ビューまたは特定の資産の [資産の詳細] ページから実行されます。

資産を変更する方法

資産は、在庫一覧ページと資産詳細ページの両方から変更できます。 1 つの資産に変更を加えるには、資産の詳細ページを参照してください。 1 つの資産または複数の資産に対して、在庫リスト ページから変更を加えることができます。 [インベントリ リスト] ページと [資産の詳細] ページのセクションでは、ユース ケースに応じて、各インベントリ ビューから変更を適用する方法について説明します。

インベントリ リスト ページから資産を変更する

多数の資産を一度に更新する場合は、インベントリ リスト ページから資産を変更する必要があります。 フィルター パラメーターに基づいて資産リストを絞り込むことができます。 アセットリストをフィルタリングすることで、ラベル、外部ID、または状態変更で分類すべき資産を特定できます。 このページからアセットを変更するには:

1. Microsoft Defender 外部攻撃面管理 (Defender EASM) リソースの一番左のペインで、インベントリ を選択します。

2. フィルターを適用して目的の結果を生成します。 この例では、更新が必要な 30 日以内に有効期限が切れるドメインを探しています。 適用されたラベルは、期限切れのドメインにすばやくアクセスして修復プロセスを簡略化するのに役立ちます。 必要な数のフィルターを適用して、必要な特定の結果を取得できます。 フィルターの詳細については、「 インベントリ フィルターの概要」を参照してください。 CVE を適用不可としてマークする場合、関連するダッシュボード グラフのドリルダウンには、適切なフィルターが適用された状態でこの [インベントリ] ページに直接ルーティングするリンクが表示されます。

   

3. インベントリリストがフィルタリングされた後、 アセット テーブルヘッダーの隣にあるチェックボックスのドロップダウンを選択します。 このドロップダウンでは、クエリに一致するすべての結果、またはその特定のページの結果 (最大 25) を選択できます。 [なし] オプションを選択すると、すべての資産がクリアされます。 また、各アセットの横にある個々のチェックマークを選択することで、ページ上の特定の結果のみを選択することもできます。

   

4. [ Modify assets]\(アセットの変更\) を選択します。

   

5. 画面の右側に開く [ 資産の変更 ] ウィンドウで、選択したアセットのさまざまなフィールドをすばやく変更できます。 この例では、新しいラベルを作成します。 [ 新しいラベルの作成] を選択します。

6. ラベル名を決定し、テキスト値を表示します。 ラベルを最初に作成した後でラベル名を変更することはできませんが、表示テキストは後で編集できます。 ラベル名は、製品インターフェイスまたは API を使用してラベルのクエリを実行するために使用されるため、これらのクエリが適切に動作するように編集が無効になります。 ラベル名を編集するには、元のラベルを削除し、新しいラベルを作成する必要があります。

   新しいラベルの色を選択し、[ 追加] を選択します。 「追加」を選択すると、「アセットの変更」画面に戻ります。

   

7. アセットに新しいラベルを適用します。 [ラベルの 追加 ] テキスト ボックス内を選択すると、使用可能なラベルの完全な一覧が表示されます。 または、ボックス内に「」と入力して、キーワード (keyword)で検索することもできます。 適用するラベルを選択したら、[ 更新] を選択します。

   

8. ラベルを適用するには、しばらく待つ必要があります。 プロセスが完了すると、 完了 した通知が表示されます。 ページが自動的に更新され、ラベルが表示された状態で資産一覧が表示されます。 画面の上部にあるバナーは、ラベルが適用されたことを確認します。

   

資産の詳細ページから資産を変更する

資産の詳細ページから 1 つの資産を変更することもできます。 このオプションは、ラベルまたは状態の変更が適用される前に資産を徹底的に確認する必要がある場合に最適です。

1. Defender EASM リソースの左端のウィンドウで、[インベントリ] を選択します。

2. 変更する特定の資産を選択して、資産の詳細ページを開きます。

3. このページで、[ 資産の変更] を選択します。

   

4. 画面の右側に表示される [ アセットの変更 ] ウィンドウで、必要な変更を行います。 資産の状態の変更、外部 ID の適用、ラベルの追加または削除を行うことができます。 新しいラベルを作成する必要がある場合は、[ 新しいラベルの作成] を選択し、ラベル名と表示テキストを入力し、色を選択して、[ 追加] を選択します。 変更を構成したら、[ 更新] を選択します。

5. 資産の詳細ページが更新され、新しく適用されたラベルまたは状態の変更が表示されます。 バナーは、資産が正常に更新されたことを示します。

ラベルを変更、解除、または削除する

資産からラベルを削除するには、インベントリ リストまたは資産の詳細ビューから同じ [資産の変更 ] ウィンドウにアクセスします。 インベントリ リスト ビューでは、複数のアセットを一度に選択し、1 つのアクションで目的のラベルを追加または削除できます。

ラベル自体を変更するか、システムからラベルを削除するには:

1. Defender EASM リソースの左端のウィンドウで、[ラベル (プレビュー)] を選択します。

   

   このページには、Defender EASM インベントリ内のすべてのラベルが表示されます。 このページのラベルはシステムに存在する可能性がありますが、どの資産にもアクティブに適用されません。 このページから新しいラベルを追加することもできます。

2. ラベルを編集するには、編集するラベルの [アクション] 列で鉛筆アイコンを選択します。 画面の右側にウィンドウが開き、ラベルの名前または色を変更できます。 [更新] を選択します。

3. ラベルを削除するには、削除するラベルの [アクション] 列からごみ箱アイコンを選択します。 [ ラベルの削除] を選択します。

   

[ ラベル] ページが自動的に更新されます。 ラベルはリストから削除され、ラベルが適用されていたアセットからも削除されます。 バナーが削除を確認します。

観測値を適用不可としてマークする

他の手動変更の場合、同じ [資産の変更] 画面から観測値を適用不可としてマークできますが、これらの更新は [資産の詳細] の [観測] タブから行うこともできます。 [観測値] タブには、観測値と適用できない観測値の 2 つのテーブルがあります。 攻撃対象領域内で 最近 使用されたと判断されたすべてのアクティブな観測値は 観測値 テーブルに含まれますが、 適用できない観測 値テーブルには、手動で適用不可としてマークされた、またはシステムによって適用されなくなったと判断された観測値が一覧表示されます。 観測値を適用不可としてマークし、その特定の観測値をダッシュボードの数から除外するには、目的の観測値を選択し、[ 適用不可として設定] を選択するだけです。 選ばれた観測値は即座にアクティブな 観測 表から消え、代わりに 非適用観測 表に表示されます。 この変更を元に戻すには、このテーブルから関連する観測値を選択し、[ 該当する値に設定] を選択します。

タスク マネージャーと通知

タスクが送信されると、更新が進行中であることが通知で確認されます。 Azureの任意のページで、[通知 (ベル)] アイコンを選択して、最近のタスクの詳細を表示します。

タスク マネージャーで変更タスクを追跡する

Defender EASM システムでは、数千個の資産を更新するのに数秒か数分かかることがあります。 タスク マネージャーを使用して、進行中の変更タスクの状態をチェックできます。 次の手順では、タスク マネージャーにアクセスし、送信された更新プログラムの完了状態を確認する方法について説明します。

1. Defender EASM リソースの左端のウィンドウで、[タスク マネージャー] を選択します。

   

2. このページには、最近使用したすべてのタスクとその状態が表示されます。 タスクは[ 完了]、[ 失敗]、または [進行中] として一覧表示されます。 完了率と進行状況バーも表示されます。 特定のタスクの詳細を表示するには、タスク名を選択します。 画面の右側にウィンドウが開き、詳細情報が表示されます。

3. [ 最新の情報に更新] を選択すると、タスク マネージャーのすべてのアイテムの最新の状態が表示されます。

ラベルのフィルター

インベントリ内の資産にラベルを付けた後、インベントリ フィルターを使用して、特定のラベルが適用されているすべての資産の一覧を取得できます。

1. Defender EASM リソースの左端のウィンドウで、[インベントリ] を選択します。

2. [ フィルターの追加] を選択します。

3. [フィルター] ドロップダウン リストから [ラベル] を選択します。 演算子を選択し、オプションのドロップダウン リストからラベルを選択します。 次の例は、1 つのラベルを検索する方法を示しています。 In 演算子を使用して、複数のラベルを検索できます。 フィルターの詳細については、 インベントリ フィルターの概要に関するページを参照してください。

   

4. [適用] を選択します。 インベントリ リスト ページが再読み込みされ、条件に一致するすべての資産が表示されます。

資産チェーンベースの管理

場合によっては、検出された手段に基づいて複数の資産を一度に削除することもできます。 たとえば、探索グループ内の特定のシードが組織に関連しない資産を取り込んでいると判断したり、現在は管理範囲外となった子会社に関連する資産を削除する必要がある場合があります。

このため、Defender EASMでは、検出チェーン内のソース エンティティと "ダウンストリーム" の資産を削除する機能が提供されます。 リンクされた資産は、次の 3 つの方法で削除できます。

• シードベースの管理:かつてディスカバリーグループに含まれていたシードを削除でき、指定されたシードへの観察された接続を通じてインベントリに導入されたすべての資産を削除できます。 この方法は、特定の手動で入力されたシードによって不要な資産がインベントリに追加されたと判断できる場合に役立ちます。
• 検出チェーン管理: 検出チェーン内の資産を識別して削除し、そのエンティティによって検出されたすべての資産を同時に削除できます。 検出は再帰的なプロセスです。シードをスキャンして、これらの指定されたシードに直接関連付けられている新しい資産を特定し、新しく検出されたエンティティをスキャンし続けて、より多くの接続を明らかにします。 この削除方法は、検出グループが適切に構成されているが、新しく検出された資産と、そのエンティティに関連付けてインベントリに持ち込まれた資産を削除する必要がある場合に便利です。 検出グループの設定と指定されたシードを、検出チェーンの "トップ" と見なします。この削除方法を使用すると、中央から資産を削除できます。
• ディスカバリーグループ管理:このディスカバリーグループを通じてインベントリに導入されたすべてのアセットやディスカバリーグループ全体を削除できます。 これは、検出グループ全体がorganizationに適用されなくなった場合に便利です。 たとえば、子会社に関連する資産を特に検索する検出グループがある場合があります。 この子会社がorganizationに関連しなくなった場合は、資産チェーンベースの管理を利用して、その検出グループを通じてインベントリに取り込まれるすべての資産を削除できます。

Defender EASMでも削除された資産を表示できます。インベントリ リストで "アーカイブ済み" 状態の資産をフィルター処理するだけです。

シード別に資産を削除する

最初に指定した検出シードの 1 つを探索グループに含めなくなると判断する場合があります。 シードが組織にとって有効でなくなっているか、実際に組織が所有する資産の検出件数よりも、誤検知の件数のほうが多くなっている可能性があります。 このような状況では、検出グループからシードを削除して、将来の探索実行で使用されないようにすることができます。同時に、指定されたシードを通じてインベントリに持ち込まれた資産を削除できます。

シードに基づいて一括削除を実行するには、適切な [探索グループの詳細] ページにルーティングし、[ 探索グループの編集] を選択します。 プロンプトに従って [ シード ] ページに移動し、問題のあるシードを一覧から削除します。 [ 確認と更新] を選択すると、指定されたシードを介して検出されたすべての資産も削除されることを示す警告が表示されます。 [ 更新] または [更新] & [実行] を選択して削除を完了します。

ディスカバリチェーンを使用してアセットを削除

次の例では、 攻撃画面の概要 ダッシュボードで安全でないログイン フォームを検出したとします。 調査を進めると、お客様の組織が所有するものではないと思われるホストにたどり着きます。 詳細については、資産の詳細ページを表示します。検出チェーンを確認すると、承認されたビジネス エンティティの登録にも使用された従業員の会社の電子メール アドレスを使用して対応するドメインが登録されたため、ホストがインベントリに取り込まれたことが分ります。

このような状況では、最初の検出シード (企業ドメイン) はまだ正当であるため、代わりに問題のある資産を検出チェーンから削除する必要があります。 連絡先メールからチェーンの削除を実行することもできますが、代わりに、この従業員に登録されている個人ドメインに関連付けられているものをすべて削除して、Defender EASMが今後そのメール アドレスに登録されている他のドメインを通知するようにします。 検出チェーンから、この個人用ドメインを選択して、資産の詳細ページを表示します。 このビュー から、[検出チェーンから削除 ] を選択して、インベントリから資産を削除します。また、個人用ドメインへの接続が観察されたためにインベントリに取り込まれたすべての資産を削除します。 資産とすべてのダウンストリーム資産の削除を確認する必要があります。その後、このアクションで削除された他の資産の概要一覧が表示されます。 [検出チェーンの削除] を選択して、一括削除を確認します。

探索グループ別に資産を削除する

検出グループ全体と、グループを介して検出されたすべての資産を削除する必要がある場合があります。 たとえば、会社が、監視する必要がなくなった子会社を売却した可能性があります。 ユーザーは、[検出管理] ページから探索グループを削除できます。 検出グループと関連するすべての資産を削除するには、一覧の適切なグループの横にある ごみ箱 アイコンを選択します。 このアクションで削除される資産の概要を一覧表示する警告が表示されます。 検出グループの削除を確認するには、関連するすべての資産を選択し、[ 検出グループの削除] を選択します。

関連コンテンツ

• Defender EASM インベントリフィルターの概要
• インベントリ資産について
• Microsoft Defender 外部攻撃面管理で資産の詳細を理解する